Sicherheitsforscher haben kürzlich einen neuen UEFI-Angriff entdeckt, wo ein kompromittiertes UEFI-Firmware-Image ein böswilliges Implantat enthielt. Teil eines Malware-Frameworks namens MosaicRegressor, Der Angriff gefährdete die Opfer mit Verbindungen zu Nordkorea zwischen 2017 und 2019.
Unified Extensible Firmware Interface (UEFI) ist eine Technologie, die die Firmware eines Computers mit seinem Betriebssystem verbindet. Der Zweck von UEFI besteht darin, das ältere BIOS zu ersetzen. Die Technologie wird während der Herstellung installiert. Es ist auch das erste Programm, das ausgeführt wird, wenn ein Computer gestartet wird. Leider, Die Technologie ist zu einem Ziel böswilliger Akteure in „außergewöhnlich anhaltende Angriffe,”Wie Kaspersky-Forscher es ausdrückten.
Neue UEFI-Malware in freier Wildbahn gefunden
Das Kaspersky-Forschungsteam entdeckte ein kompromittiertes UEFI-Firmware-Image, das ein bösartiges Implantat enthielt. Der Zweck dieses Implantats besteht darin, zusätzliche Malware auf dem Zielcomputer auszuführen. Die bösartige Firmware wurde bei Angriffen in freier Wildbahn verwendet. Dies ist der zweite bekannte Fall von aktiv ausgenutzter UEFI-Malware.
Warum missbrauchen Angreifer diese Technologie?? Wie sich herausstellt, Einer der Gründe ist die Beständigkeit. "Die UEFI-Firmware bietet einen perfekten Mechanismus für die dauerhafte Speicherung von Malware,Sagt Kaspersky.
Anspruchsvolle Angreifer können die Firmware so ändern, dass sie schädlichen Code bereitstellt, der nach dem Laden des Betriebssystems ausgeführt wird. Da es normalerweise im SPI-Flash-Speicher geliefert wird, der mit dem Motherboard des Computers geliefert wird, Diese implantierte Malware ist resistent gegen eine Neuinstallation des Betriebssystems oder den Austausch der Festplatte.
Weitere Informationen zum MosaicRegressor Malicious Framework
Laut Kaspersky, Komponenten aus dem MosaicRegressor-Framework wurden in einer Reihe gezielter Angriffe gegen Diplomaten und Afrikaner entdeckt, asiatisch, und europäische Mitglieder einer NGO. Ihre Aktivitäten zeigten Verbindungen zu Nordkorea.
"Code-Artefakte in einigen Komponenten des Frameworks und Überlappungen in C.&Die während der Kampagne verwendete C-Infrastruktur deutet darauf hin, dass ein chinesischsprachiger Schauspieler hinter diesen Angriffen steckt, Möglicherweise über die Winnti-Hintertür Verbindungen zu Gruppen,“Der Bericht sagt.
Sicherheitsforscher glauben, dass Winnti zu einer Dachgruppe gehört, was bedeutet, dass mehrere kleinere kriminelle Fraktionen es verwenden, um sich damit zu identifizieren. Letztes Jahr, Die Winnti-Hintertür verwendete die Skip-2.0-Malware um Microsoft SQL Server zu infizieren. Die Kampagne stützte sich auf eine Sicherheitsanfälligkeit auf den Servern, die den Zugriff auf die gespeicherten Daten mithilfe einer magischen Kennwortzeichenfolge ermöglichen konnte.
Wie für die neue UEFI-Malware, Es scheint sich um eine benutzerdefinierte Version des VectorEDK-Bootkits zu handeln. Der Code des Bootkits wurde durchgesickert 2015, und ist seitdem online verfügbar. Die Malware wird verwendet, um das schädliche MosaicRegressor-Framework zu installieren, Das ist die zweite Nutzlast. MosaicRegressor ist in der Lage, Cyberspionage und Datenerfassung durchzuführen, und es enthält zusätzliche Downloader, die andere ausführen können, Sekundärkomponenten.
Abschließend
Auch wenn UEFI-Malware selten ist, Es ist weiterhin ein Punkt von Interesse für APT (Advanced Persistent Threat) Schauspieler. In der Zwischenzeit, es wird von Sicherheitsanbietern übersehen. Weitere Informationen zum MosaicRegressor-Angriff finden Sie unter der ursprüngliche Kaspersky-Bericht.
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: